Aviso de Privacidad — ScotyaLoyalty
Borrador pendiente de revisión de un abogado ecuatoriano. No constituye asesoría legal. Este documento se genera a partir del código y flujos de datos reales de la plataforma (ver `docs/AUDITORIA_360_2026-08-21.md`, sección 8), pero su validez legal, alcance de bases jurídicas y suficiencia frente a la LOPDP debe confirmarla un profesional antes de publicarse a clientes reales.
Última actualización: 22 de agosto de 2026.
1. Quiénes somos y qué es este programa
Cuando te registras en la tarjeta digital de un comercio ("el Comercio") que usa ScotyaLoyalty, hay dos actores tratando tus datos:
- El Comercio decide qué recompensas ofrece, qué promociones envía y cuánto tiempo conserva tus datos. Es el Responsable del Tratamiento frente a ti.
- ScotyaLab aloja y opera la plataforma técnica siguiendo las instrucciones del Comercio. Es el Encargado del Tratamiento para tus datos de fidelización, pedidos y entrega.
Si tienes dudas sobre tu programa de fidelización específico, el primer contacto es el Comercio donde te registraste. ScotyaLab puede asistir cuando el Comercio lo solicite.
2. Qué datos tratamos
| Categoría | Ejemplos | Para qué | |---|---|---| | Identidad | Nombre, teléfono, correo, fecha de nacimiento (opcional) | Crear tu cuenta, identificarte en el comercio | | Fidelización | Sellos, puntos, canjes, nivel | Operar el programa de recompensas | | Pedidos | Productos, dirección de entrega, notas | Procesar y entregar tu pedido | | Pagos | Estado del pago, referencia, banco (cuando aplica) | Cobro y conciliación — no almacenamos el número completo de tu tarjeta | | Comprobante de transferencia | Imagen del comprobante, monto, referencia | Verificar pagos por transferencia bancaria | | Ubicación (solo si el Comercio ofrece entrega a domicilio) | Ubicación del conductor, dirección de entrega | Seguimiento del pedido y prueba de entrega | | Sesión y seguridad | IP, dispositivo, código de verificación temporal | Proteger tu cuenta contra accesos no autorizados |
3. Con quién se comparte
Este aviso reemplaza cualquier versión anterior que haya afirmado que tus datos "nunca se comparten con terceros" — eso no reflejaba el tratamiento real. Compartimos datos, únicamente en la medida necesaria para operar el servicio, con:
- El Comercio donde te registraste (es el dueño de tu relación de fidelización).
- Pasarelas de pago (DeUna/Banco Pichincha, Payphone) cuando pagas por esos medios — reciben el monto y los datos mínimos para procesar el cobro.
- Meta (WhatsApp Cloud API) para enviar códigos de verificación (OTP) a tu teléfono — recibe tu número y el código temporal, nada más.
- Proveedores de entrega/logística, si el Comercio ofrece delivery — reciben tu dirección y el conductor asignado ve tu ubicación de entrega.
- Proveedores de infraestructura técnica: - Railway (hosting del servidor y base de datos) — procesa datos en tránsito y almacenamiento dentro de la infraestructura contratada. - Cloudflare R2 (almacenamiento de archivos como comprobantes de pago o fotos de entrega) — almacena objetos cifrados bajo contrato. - Estos proveedores procesan datos en nuestro nombre bajo contrato, no para sus propios fines. La ubicación geográfica de los servidores y las garantías de residencia de datos están pendientes de verificación contractual formal (ver `legal/subencargados.md`).
No vendemos tus datos. No los usamos para publicidad de terceros ajenos al Comercio.
4. Tus derechos (ARCO)
Tienes derecho a:
- Acceder a una copia de tus datos.
- Rectificar datos incorrectos o desactualizados.
- Cancelar/eliminar tu cuenta — tus datos personales se anonimizan; el historial contable/de transacciones se conserva de forma anónima cuando la ley lo exige (por ejemplo, obligaciones tributarias).
- Oponerte al uso de tus datos para marketing, sin afectar el uso operativo de tu tarjeta de fidelización.
Puedes ejercer estos derechos directamente desde tu cuenta o solicitándolo al Comercio. Los datos técnicos de tu cuenta se procesan de forma automatizada al ejercer estos derechos; el registro de cada solicitud queda documentado para trazabilidad.
Nota: El canal formal para ejercer derechos ARCO (correo electrónico, formulario web, o punto de contacto específico) está pendiente de definición. Mientras tanto, la plataforma ya implementa las operaciones técnicas necesarias (exportación, rectificación, oposición, cancelación y purga) a través de endpoints internos (`/api/v2/privacy`). Al Comercio le corresponde habilitar y comunicar el canal de acceso.
5. Menores de edad
Este programa no está dirigido a menores de edad. Si el Comercio permite registrar una fecha de nacimiento, es tu responsabilidad y la del Comercio verificar que quien se registra tiene capacidad legal para hacerlo.
6. Retención
Conservamos tus datos mientras tu cuenta esté activa. Sesiones inactivas, códigos de verificación vencidos y direcciones IP en registros de auditoría se eliminan o anonimizan automáticamente conforme a plazos definidos (ver `services/privacy.js` y el proceso de purga documentado en `docs/DEPLOYMENT.md`).
7. Seguridad
Tu contraseña de acceso es un código de un solo uso enviado a tu teléfono, nunca almacenado en texto plano. Las contraseñas de personal del Comercio están cifradas. Los pagos usan verificación criptográfica de las pasarelas correspondientes.
8. Contacto
Para ejercer tus derechos o resolver dudas sobre este aviso, contacta primero al Comercio donde te registraste. Para asuntos relacionados con la plataforma técnica, ScotyaLab puede ser contactado a través del canal que el Comercio indique.